Investigadores de Air, una firma de seguridad enfocada en agentes de IA empresariales, revelaron Plugin4Shell: una vulnerabilidad de ejecución remota de código sin necesidad de clic (zero-click) que afecta a los cuatro agentes de código con IA más usados — Claude Code, Codex, GitHub Copilot y Gemini CLI. La falla rompe el "SHA pinning", el mecanismo en el que confían los equipos de desarrollo para fijar un plugin a una versión exacta y revisada.
Los cuatro agentes verifican que el plugin instalado corresponda a un commit específico (identificado por su SHA), pero no confirman que el checkout realmente terminó ahí. El ataque aprovecha que git puede priorizar un nombre de referencia (branch) que coincide con un hash de commit por encima del objeto de commit real durante el checkout. Si el atacante controla una rama con ese nombre, el agente puede terminar instalando código malicioso mientras reporta —de forma incorrecta— que la instalación coincidió con el SHA esperado y aprobado.
La pieza que convierte esto en zero-click es que Claude Code y Codex actualizan los plugins instalados en segundo plano por defecto. El atacante no necesita convencer a nadie de instalar nada nuevo: puede publicar primero un plugin legítimo que gane adopción, y modificar después el repositorio upstream para que la próxima actualización automática entregue el código malicioso. Como estos plugins suelen heredar los mismos permisos del desarrollador que ejecuta el agente, el impacto potencial incluye código fuente local, credenciales de nube, llaves SSH, repositorios internos y sistemas de producción.
Carlos Montiel es arquitecto de soluciones IA empresarial. Implementa LLMs, Agentes, RAG y orquestadores en empresas de Guatemala y Latinoamérica. Contáctalo para una consultoría.
Contactar a Carlos Montiel